主机名 (Hostname)

显示节点的主机名。

相关角色 (Personas)

（只有在节点类型为Cisco ISE 时才显示）列出Cisco ISE 节点承担的角色。

例如，管理 (Administration)、策略服务 (Policy Service)、监控 (Monitoring) 或 pxGrid。

角色 (Rol)e

如果在此节点上启用了管理和监控角色，则指示管理和监控角色承担的职责（主要、辅助或独立职责）。职责可以是以下一项或多项：

• PRI(A)：指主 PAN

• SEC(A)：指辅助 PAN

• PRI(M)：指主 MnT

• SEC(M)：指辅助 MnT

服务 (Services)

（只有在启用策略服务角色时才显示）列出此Cisco ISE 节点上运行的服务。服务可包括以下任意一项：

• 身份映射

• 会话

• 剖析

• 全部

节点状态

指示部署中每个Cisco ISE 节点的数据复制状态。

• 绿色（已连接）：表示部署中已注册的Cisco ISE 节点与主 PAN 处于同步状态。

• 红色（断开）：表示Cisco ISE 节点无法到达、已断开或未进行数据复制。

• 橙色（处理中）：表示向主 PAN 新注册了新Cisco ISE 节点、您已执行手动同步操作或Cisco ISE 节点与主 PAN 不同步。

有关详细信息，请点击节点状态 (Node Status) 列中每个Cisco ISE 节点的快速查看图标。

如果Cisco ISE 节点承担管理角色，请启用此切换按钮。只有在受许可提供管理服务的节点上才可以启用 Administration 角色。

角色 (Role) - 显示管理角色在部署中承担的职责。角色可以采用以下任一值：独立 (Standalone)、主 (Primary) 或辅助 (Secondary)。

设为主要 (Make Primary) - 选择此按钮可使该节点成为主Cisco ISE 节点。在部署中您只能有一个主要Cisco ISE 节点。当您将此节点设置为主要节点之后，此页面的其他选项将进入活动状态。在部署中您只能有两个 Administration 节点。如果节点具有独立 (Standalone) 角色，则旁边会显示设为主要 (Make Primary) 按钮。如果节点具有辅助 (Secondary) 角色，则旁边会显示升级为主要 (Promote to Primary) 按钮。如果节点具有主要 (Primary) 角色，并且没有其他节点注册到该节点，则旁边会显示设为独立 (Make Standalone) 按钮。您可以点击此按钮以使您的主要节点成为独立节点。

如果要Cisco ISE 节点承担监控角色并充当日志收集器，请启用此切换按钮。分布式部署中必须至少有一个监控节点。配置主 PAN 时，必须启用监控角色。在部署中注册辅助监控节点之后，如有必要，可以编辑主 PAN 和禁用监控角色。

要在 VMware 平台上将Cisco ISE 节点配置为您的日志收集器，请使用以下规定确定您所需要的最低磁盘空间：您的网络中每天每个终端 180 KB，您的网络中每天每个Cisco ISE 节点 2.5 MB。

您可以根据您想要将多少个月的数据至于监控模式下，计算您所需的最大磁盘空间。如果您的部署中只有一个监控节点，则该节点会承担独立职责。如果在部署中有两个监控节点，Cisco ISE 会显示另一个监控节点的名称以供您配置主要/辅助角色。要配置这些职责，请选择以下选项之一：

• 主 (Primary)：使当前节点成为主监控节点。

• 辅助 (Secondary)：使当前节点成为辅助监控节点。

• 无 (None) - 如果要使监控节点不承担主要-辅助角色。

如果您将您的一个监控节点配置为主要或辅助节点，另一个监控节点相应地自动成为辅助或主要节点。主要监控节点和辅助监控节点都接收管理和策略服务日志。如果将一个监控节点的角色改为无 (None)，则另一个监控节点的角色也会成为无 (None)，从而会在您将某个节点指定为监控节点之后取消高可用性对。您会在远程日志记录目标 (Remote Logging Targets) 窗口中发现此节点被列为系统日志目标。要查看此处窗口，请点击菜单 (Menu) 图标 ()，然后选择 管理 (Administration) > 系统 (System) > 日志记录 (Logging) > 远程日志记录目标 (Remote Logging Targets)。

• 启用会话服务 (Enable Session Services)：选中此复选框可启用网络访问、终端安全评估、访客和客户端调配服务。从在节点组中包含节点 (Include Node in Node Group) 下拉列表中选择此策略服务节点所属的组。请注意，证书颁发机构 (CA) 和安全传输注册 (EST) 服务只能在已启用会话服务的策略服务节点上运行。

  对于在节点组中包含节点 (Include Node in Node Group)，如果不希望此策略服务节点加入任何组，请选择无 (None)。

  同一个节点组中的所有节点都应在网络接入设备上配置为 RADIUS 客户端，并获 CoA 授权，因为这些节点中的任何一个节点均可为通过节点组中的任何节点建立的会话发出 CoA 请求。如果您未使用负载均衡器，则节点组中的节点应与在 NAD 上配置的 RADIUS 服务器和客户端相同，或作为 RADIUS 服务器和客户端的子集。这些节点还将配置为 RADIUS 服务器。

  虽然可以使用多个Cisco ISE 节点将单个 NAD 配置为 RADIUS 服务器和动态授权客户端，但并不要求所有节点都属于同一个节点组。

  一个节点组中的所有成员应通过高速 LAN 连接（例如，千兆以太网）互相建立连接。虽然节点组成员不需要在第二层相邻，但是我们依然建议节点组成员在第 2 层相邻，以确保足够的宽带和可达性。有关详细信息，请参阅《》中的“创建策略服务节点组”部分请参阅创建策略服务节点组。

• 启用分析服务 (Enable Profiling Service)：选中此复选框可启用分析服务。如果启用分析服务，必须点击分析配置 (Profiling Configuration) 选项卡并根据要求输入详细信息。当您启用或禁用策略服务节点上运行的任意服务或对此节点做任何更改时，您将重新启动运行这些服务的应用服务器进程。这些服务重新启动时预计会有延迟。您可以从 CLI 使用 show application status ise 命令，确定何时在节点上重新启动了应用服务器。

• 启用威胁中心 NAC 服务 (Enable Threat Centric NAC Service)：选中此复选框可启用威胁中心网络访问控制 (TC-NAC) 功能。通过此功能，您可依据威胁和漏洞适配器发送的威胁和漏洞属性创建授权策略。威胁严重级别和漏洞评估结果可用于动态控制终端或用户的访问级别。

• 启用 SXP 服务 (Enable SXP Service)：选中此复选框可在节点上启用 SXP 服务。您还必须指定 SXP 服务使用的接口。

  如果已配置 NIC 绑定或组合，则还会在使用接口 (Use Interface) 下拉列表中列出绑定接口以及物理接口。

• 启用设备管理员服务 (Enable Device Admin Service)：选中此复选框可创建 TACACS 策略集和策略结果等，以便控制和审计网络设备的配置。

• 启用被动身份服务 (Enable Passive Identity Service)：选中此复选框可启用身份映射功能。通过此功能，您可以监控通过域控制器 (DC)（而不是Cisco ISE）进行身份验证的用户。在Cisco ISE 不主动对用户进行网络访问身份验证的网络中，您可以使用身份映射功能从 Active Directory (AD) 域控制器收集用户身份验证信息。

NetFlow

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 NetFlow，以便接收从路由器发送的 NetFlow 数据包。为以下选项输入所需的值：

• 接口 (Interface)：选择Cisco ISE 节点上的接口。

• 端口 (Port)：输入从路由器接收 NetFlow 导出数据的 NetFlow 侦听器端口号。默认端口为 9996。

DHCP

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 DHCP，以便侦听来自 IP 帮助程序的 DHCP 数据包。为以下选项输入所需的值：

• 接口 (Interface)：选择Cisco ISE 节点上的接口。

• 端口 (Port)：输入 DHCP 服务器 UDP 端口号。默认端口为 67。

DHCP SPAN

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 DHCP，以便收集 DHCP 数据包。

• 接口 (Interface)：选择Cisco ISE 节点上的接口。

HTTP

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 HTTP，以便接收并解析 HTTP 数据包。

• 接口 (Interface)：选择Cisco ISE 节点上的接口。

RADIUS

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 RADIUS，以便收集 RADIUS 会话属性，以及来自已启用 IOS 传感器的设备的Cisco设备协议 (CDP) 和链路层发现协议 (LLDP) 属性。

网络扫描 (NMAP) (Network Scan [NMAP])

启用此切换按钮可启用 NMAP 探测。

DNS

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 DNS，以便对 FQDN 执行 DNS 查找。以秒为单位输入超时 (Timeout) 期间。

SNMP 查询 (SNMP Query)

启用此切换按钮可针对承担策略服务角色的每个Cisco ISE 节点启用 SNMP 查询，以便按照指定的间隔轮询网络设备。为以下字段输入值︰重试次数 (Retries)、超时 (Timeout)、事件超时 (Event Timeout)和可选的说明 (Description)。

SNMP 陷阱 (SNMP Trap)

• 链路陷阱查询 (Link Trap Query)：启用此切换按钮可接收和解释通过 SNMP 陷阱接收的链路接通和链路断开通知。

• MAC 陷阱查询 (MAC Trap Query)：启用此切换按钮可接收和解释通过 SNMP 陷阱接收的 MAC 通知。

• 接口 (Interface)：选择Cisco ISE 节点上的接口。

• 端口 (Port)：输入要使用的主机 UDP 端口。默认端口为 162。

Active Directory

启用此切换按钮可扫描所定义的 Active Directory 服务器，以获取有关 Windows 用户的信息。

• 重新扫描前的天数 (Days before rescan)：选择您希望经过多少天后再次进行扫描。

pxGrid

启用此切换按钮可允许Cisco ISE 通过 pxGrid 收集（配置文件）终端属性。

选择节点 (Select Node)

（必填）您要生成系统证书的节点。

公共名称 (CN) (Common Name [CN])

（如果您不指定 SAN，则此字段必填）默认情况下，Common Name 为您要生成自签证书的 ISE 节点的完全限定域名。

组织单位 (OU) (Organizational Unit [OU])

组织单位名称。例如，Engineering。

组织 (O) (Organization [O])

组织名称。例如，Cisco。

城市 (L) (City [L])

（请勿缩写）城市名称。例如，圣何塞。

省/自治区/直辖市 (ST) (State [ST])

（请勿缩写）省/自治区/直辖市名称。例如，加州。

国家/地区 (C) (Country [C])

国家/地区名称。必须输入两个字母 ISO 国家/地区代码。例如，US。

主体可选名称 (SAN) (Subject Alternative Name [SAN])

与该证书关联的 IP 地址、DNS 名称或统一资源标识符 (URI)。

密钥类型 (Key Type)

指定要用于创建公共密钥的算法：RSA 或 ECDSA。

密钥长度 (Key Length)

• 512

• 1024

• 2048

• 4096

• 256

• 384

如果您计划获得公共 CA 签名的证书或将思科 ISE 部署为符合 FIPS 的策略管理系统，请选择 2048。

签名摘要 (Digest to Sign With)

选择下列散列算法之一：SHA-1 或 SHA-256。

证书策略 (Certificate Policies)

输入证书应符合的证书策略 OID 或 OID 列表。使用逗号或空格分隔 OID。

过期 TTL (Expiration TTL)

指定证书到期之前的天数。

友好名称 (Friendly Name)

输入证书的友好名称。如果未指定名称，Cisco ISE 会自动创建以下格式的名称：<common name> # <issuer> # <nnnnn>，其中 <nnnnn> 是唯一的五位数数字。

允许通配符证书 (Allow Wildcard Certificates)

如果要生成自签名通配符证书，请选中此复选框。通配符证书使用通配符表示法（在域名前使用一个星号和句点）并且允许在组织中的多个主机之间共享该证书。

使用情况 (Usage)

选择应使用此系统证书的服务：

• 管理 (Admin)：用于确保与部署中的管理员门户和 ISE 节点之间安全通信的服务器证书。

• EAP 身份验证 (EAP Authentication)：用于使用 EAP 协议建立 SSL/TLS 隧道的身份验证的服务器证书。

• RADIUS DTLS：用于 RADIUS DTLS 身份验证的服务器证书。

• pxGrid：用于确保 pxGrid 客户端和服务器之间的安全通信的客户端和服务器证书。

• SAML：用于确保与 SAML 身份提供程序 (IdP) 之间的安全通信的服务器证书。指定用于 SAML 的证书不可用于任何其他服务（例如管理员和 EAP 身份验证等）。

• 门户 (Portal)：用于确保与所有Cisco ISE Web 门户的安全通信的服务器证书。

证书将用于 (Certificate(s) will be used for)

选择即将对其使用证书的服务：

思科 ISE 身份证书

• 多用途 (Multi-Use)：用于多种服务（管理员、EAP-TLS 身份验证、pxGrid 和门户）。多用途证书同时使用客户端和服务器密钥用法。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • Extended Key Usage (扩展密钥使用)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1) 和 TLS Web 客户端身份验证 (1.3.6.1.5.5.7.3.2)

• 管理 (Admin) - 用于服务器身份验证（以确保与管理员门户之间的安全通信，以及部署中 ISE 节点之间的安全通信）。签名 CA 的证书模板通常称为 Web 服务器证书模板。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

• EAP 身份验证 (EAP Authentication)：用于服务器身份验证。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

  注	EAP-TLS 客户端证书需要使用数字签名密钥。

• RADIUS DTLS：用于 RADIUS DTLS 服务器身份验证。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

• ISE 消息服务 (ISE Messaging Service)：用于“经Cisco ISE 消息传递的系统日志” 功能，此功能可以对内置 UDP 系统日志收集目标（LogCollector 和 LogCollector2）实现 MnT WAN 有效性。

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

• 门户 (Portal)：用于服务器身份验证（以确保与所有 ISE Web 门户之间的安全通信）。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

• pxGrid - 同时用于客户端和服务器身份验证（以确保 pxGrid 客户端与服务器之间的安全通信）。签名 CA 的证书模板通常称为计算机证书模板。此模板具有以下属性：

  • Key Usage (密钥使用)：数字签名（签名）

  • Extended Key Usage (扩展密钥使用)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1) 和 TLS Web 客户端身份验证 (1.3.6.1.5.5.7.3.2)

• SAML：用于确保与 SAML 身份提供程序 (IdP) 之间的安全通信的服务器证书。指定用于 SAML 的证书不可用于任何其他服务（例如管理员和 EAP 身份验证等）。

  • Key Usage (密钥使用)：数字签名（签名）

  • 扩展密钥使用 (Extended Key Usage)：TLS Web 服务器身份验证 (1.3.6.1.5.5.7.3.1)

source=local ; type=fatal ; message="unsupported certificate" 

思科 ISE 证书颁发机构颁发的证书

• ISE 根 CA (ISE Root CA) -（仅适用于内部 CA 服务）用于重新生成整个内部 CA 证书链，包括主 PAN 上的根 CA 和 PSN 上的辅助 CA。

• ISE 中间 CA (ISE Intermediate CA)：（仅适用于当 ISE 用作外部 PKI 的中间 CA 时的内部 CA 服务）用于在主 PAN 上生成中间 CA 证书，在 PSN 上生成从属 CA 证书。签名 CA 的证书模板通常称为辅助证书颁发机构。此模板具有以下属性：

  • 基本约束 (Basic Constraints)：关键、是证书颁发机构

  • 密钥使用 (Key Usage)：证书签名、数字签名

  • 扩展密钥使用 (Extended Key Usage)：OCSP 签名 (1.3.6.1.5.5.7.3.9)

• 更新 ISE OCSP 响应方证书 (Renew ISE OCSP Responder Certificates)：（仅适用于内部 CA 服务）用于更新整个部署的 ISE OCSP 响应方证书（不是证书签名请求）。出于安全原因，建议您每六个月更新一次 ISE OCSP 响应方证书。

允许通配符证书 (Allow Wildcard Certificates)

选中此复选框以在 CN 中和/或证书的 SAN 字段的 DNS 名称中使用通配符 (*)。如果选中此复选框，系统会自动选择部署中的所有节点。必须在最左侧的标签位置使用星号 (*) 通配符。如果使用通配符证书，我们建议您对域名空间进行分区以提高安全性。例如，可以将域空间分区为 *.amer.example.com，而不是 *.example.com。如果不对域进行分区，可能会导致安全问题。

为这些节点生成 CSR (Generate CSRs for these Nodes)

选中要为其生成证书的节点旁边的复选框。要为部署中的选定节点生成 CSR，必须取消 Allow Wildcard Certificates 选项。

公共名称 (CN) (Common Name [CN])

默认情况下，公用名是您正为其生成 CSR 的 ISE 节点的 FQDN。$FQDN$ 表示 ISE 节点的 FQDN。当为部署中的多个节点生成 CSR 时，CSR 中的 Common Name 字段会替换为各个 ISE 节点的 FQDN。

组织单位 (OU) (Organizational Unit [OU])

组织单位名称。例如，Engineering。

组织 (O) (Organization [O])

组织名称。例如，Cisco。

城市 (L) (City [L])

（请勿缩写）城市名称。例如，圣何塞。

省/自治区/直辖市 (ST) (State [ST])

（请勿缩写）省/自治区/直辖市名称。例如，加州。

国家/地区 (C) (Country [C])

国家/地区名称。必须输入两个字母 ISO 国家/地区代码。例如，US。

主体可选名称 (SAN) (Subject Alternative Name [SAN])

“IP 地址”(IP address)、“DNS 名称”(DNS name)、“统一资源标识符”(Uniform Resource Identifier, URI) 或与证书关联的“目录名称”(Directory Name)。

• DNS 名称 (DNS name)：如果选择“DNS 名称”(DNS name)，请输入 ISE 节点的完全限定域名。如果已启用 Allow Wildcard Certificates 选项，请指定通配符符号（域名前的星号和句号）。例如：*.amer.example.com。

• IP 地址 (IP address)：将与证书关联的 ISE 节点的 IP 地址。

• 统一资源标识符 (Uniform Resource Identifier)：您希望与证书关联的 URI。

• 目录名称 (Directory Name)：根据 RFC 2253 定义的可区分名称 (DN) 的字符串表示。使用逗号 (,) 隔开多个 DN。对于“dnQualifier”RDN，避免使用逗号而是使用反斜杠“\”作为分隔符。例如，CN=AAA,dnQualifier=O=Example\,DC=COM,C=IL

密钥类型 (Key Type)

指定要用于创建公共密钥的算法：RSA 或 ECDSA。

密钥长度 (Key Length)

指定公共密钥的位大小。

以下选项可用于 RSA：

• 512

• 1024

• 2048

• 4096

以下选项可用于 ECDSA：

• 256

• 384

如果计划获取公共的 CA 签名证书，请选择 2048 或更大长度。

签名摘要 (Digest to Sign With)

选择下列散列算法之一：SHA-1 或 SHA-256。

证书策略 (Certificate Policies)

输入证书应符合的证书策略 OID 或 OID 列表。使用逗号或空格分隔 OID。

Node name

发出证书的策略服务节点 (PSN) 的名称。

颁发的证书 (Certificates Issued)

PSN 节点发出的终端证书的数量。

撤销的证书 (Certificates Revoked)

已吊销的证书的数量（已由 PSN 节点发出的证书）。

证书请求 (Certificates Requests)

PSN 节点处理的基于证书的身份验证请求数量。

失败的证书 (Certificates Failed)

PSN 节点处理的失败身份验证请求数量。

证书检查设置

“对照自动撤销的 CRL 检查正在进行的会话”(Check ongoing sessions against automatically retrieved CRL)

如果您希望Cisco ISE 对照自动下载的 CRL 检查正在进行的会话，选中此复选框。

CRL/OCSP 定期检查证书

首先检查

指定一天中的某个时间作为 CRL 或 OCSP 每天应当开始检查的时间。输入00:00 和 23:59 小时之间的数值

检查每

指定Cisco ISE 需要等待的时间间隔（按小时计），在此间隔之后再次对 CRL 或 OCSP 服务器进行检查。

选择节点 (Select Node)

（必填）选择您要导入系统证书的Cisco ISE 节点。

证书文件 (Certificate File)

（必填）点击浏览 (Browse)，从本地系统中选择证书文件。

私钥文件 (Private Key File)

（必填）点击 浏览 (Browse) 选择私钥文件。

密码 (Password)

（必填）输入密码以解密私钥文件。

友好名称 (Friendly Name)

输入证书的友好名称。如果未指定名称，Cisco ISE 会自动创建以下格式的名称：<common name> # <issuer> # <nnnnn>，其中 <nnnnn> 是唯一的五位数数字。

允许通配符证书 (Allow Wildcard Certificates)

如果要导入通配符证书，请选中此复选框。通配符证书使用通配符表示法（在域名前使用一个星号和句点）并且允许在组织中的多个主机之间共享该证书。

如果选中此复选框，Cisco ISE 会将此证书导入到部署中的所有其他节点。

验证证书扩展名 (Validate Certificate Extensions)

如果希望Cisco ISE 验证证书扩展，请选中此复选框。如果选中此复选框，并且要导入的证书包含 CA 标志设为 true 的基本限制扩展，请确保密钥用法扩展存在，并且设置了 keyEncipherment 位和/或 keyAgreement 位。

使用情况 (Usage)

选择应使用此系统证书的服务：

• 管理员 (Admin)：用于确保与部署中的管理员门户和 ISE 节点之间安全通信的服务器证书

  注	在主 PAN 上更改管理员角色证书时会在所有其他节点上重新启动服务。

• EAP 身份验证 (EAP Authentication)：用于使用 EAP 协议建立 SSL/TLS 隧道的身份验证的服务器证书

• RADIUS DTLS：用于 RADIUS DTLS 身份验证的服务器证书

• pxGrid：用于确保 pxGrid 客户端和服务器之间的安全通信的客户端和服务器证书。

• ISE 消息服务 (ISE Messaging Service)：用于经思科 ISE 消息传递的系统日志 (Syslog Over Cisco ISE Messaging) 功能，此功能可以对内置 UDP 系统日志收集目标（LogCollector 和 LogCollector2）实现 MnT WAN 有效性。

• SAML：用于确保与 SAML 身份提供程序 (IdP) 之间的安全通信的服务器证书。指定用于 SAML 的证书不可用于任何其他服务（例如管理员和 EAP 身份验证等）。

• 门户 (Portal)：用于确保与所有Cisco ISE Web 门户的安全通信的服务器证书。

友好名称 (Friendly Name)

显示证书的名称。

状态 (Status)

“启用”(Enabled) 或“禁用”(Disabled)。如果选择“禁用”(Disabled)，ISE 将不使用此证书建立信任。

信任范围 (Trusted for)

显示使用此证书的服务。

颁发给 (Issued To)

证书使用者的通用名称 (CN)。

颁发者 (Issued By)

证书颁发者的通用名称 (CN)。

生效日期 (Valid From)

“开始时间”证书属性。

到期日期 (Expiration Date)

“截止时间”证书属性。

到期状态 (Expiration Status)

提供有关证书到期状态的信息。此列显示五个图标和提示消息类别：

• 绿色：距到期还有 90 天以上

• 蓝色：距到期还有 90 天或更短

• 黄色：距到期还有 60 天或更短

• 橙色：距到期还有 30 天或更短

• 红色：已到期

证书颁发者 (Certificate Issuer)

友好名称 (Friendly Name)

输入证书的友好名称。

状态 (Status)

选择“启用”(Enabled) 或“禁用”(Disabled)。如果选择“禁用”(Disabled)，ISE 将不使用此证书建立信任。

说明

输入可选的说明。

使用情况 (Usage)

信任 ISE 中的身份验证 (Trust for authentication within ISE)

如果您想要使用此证书验证服务器证书（从其他 ISE 节点或 LADP 服务器），请选中此复选框。

信任客户端身份验证和系统日志 (Trust for client authentication and Syslog)

（仅适用于选中“信任 ISE 中的身份验证”(Trust for authentication within ISE) 复选框的情况）如果您想将此证书用于以下用途，请选中此复选框：

• 对使用 EAP 协议连接至 ISE 的终端进行身份验证

• 信任系统日志服务器

信任思科服务的身份验证 (Trust for authentication of Cisco Services)

如果您希望将此证书用于信任源服务等外部Cisco服务，请选中此复选框。

证书状态验证 (Certificate Status Validation)

ISE 支持使用两种方法检查特定 CA 颁发的客户端或服务器证书的吊销状态。第一种方法是使用在线证书状态协议 (OCSP) 验证证书，其将向 CA 维护的 OCSP 服务发送请求。第二种方法是按照从 CA 下载至 ISE 的证书吊销列表 (CRL) 验证证书。可以同时启用这两种方法，在这种情况下首先使用 OCSP 方法，只有在无法确定证书状态时，才会使用 CRL 方法。

验证 OCSP 服务 (Validate Against OCSP Service)

选中此复选框以按照 OCSP 服务验证证书。您必须先创建 OCSP 服务才能选中此复选框。

如果 OCSP 返回未知状态则拒绝请求 (Reject the request if OCSP returns UNKNOWN status)

如果 OCSP 无法确定证书状态，则选中此复选框以拒绝请求。在选中此复选框的情况下，如果 OCSP 服务返回未知状态值，此服务将导致 ISE 拒绝当前评估的客户端或服务器证书。

OCSP 响应器无法访问时拒绝请求 (Reject the request if OCSP Responder is unreachable)

选中此复选框供 ISE 在 OCSP 响应器无法访问时拒绝请求。

下载 CRL (Download CRL)

选中此复选框以使Cisco ISE 下载 CRL。

CRL 分类的 URL (CRL Distribution URL)

输入用于从 CA 下载 CRL 的 URL。如果在证书颁发机构证书中指定了 URL，则系统会自动填写此字段。URL 必须以“http”、“https”或“ldap”开头。

检索 (Retrieve CRL)

可以自动或定期下载 CRL。请配置下载时间间隔。

如果下载失败，请稍候 (If download failed, wait)

配置在Cisco ISE 再次尝试下载 CRL 之前等待的时间间隔。

如果 CRL 没有收到，绕过此 CRL 验证 (Bypass CRL Verification if CRL is not Received)

选中此复选框，以使系统在收到 CRL 之前接受客户端请求。如果取消选中此复选框，Cisco ISE 会拒绝使用选定 CA 签名的证书的所有客户端请求，直到收到 CRL 文件为止。

忽略 CRL 无效或已过期 (Ignore that CRL is not yet valid or expired)

如果您希望Cisco ISE 忽略开始日期和到期日期并继续使用非活动或已过期 CRL 以及根据 CRL 内容允许或拒绝 EAP-TLS 身份验证，请选中此复选框。

如果您希望Cisco ISE 在 Effective Date 字段指定的开始日期和 Next Update 字段指定的到期日期检查 CRL 文件，请取消选中此复选框。如果 CRL 尚未激活或已到期，Cisco ISE 会拒绝使用此 CA 签名的证书的所有身份验证。

证书文件 (Certificate File)

点击浏览 (Browse) 从运行浏览器的计算机选择证书文件。

友好名称 (Friendly Name)

输入证书的友好名称。如果不指定名称，Cisco ISE 会自动按照 <通用名称># <颁发者># <nnnnn> 的格式创建名称，其中 <nnnnn> 为唯一的五位数编号。

信任 ISE 中的身份验证 (Trust for authentication within ISE)

如果您希望将此证书用于验证服务器证书（从其他 ISE 节点或 LDAP 服务器），请选中此复选框。

信任客户端身份验证和系统日志 (Trust for client authentication and Syslog)

（仅在选中了“信任 ISE 中的身份验证”(Trust for authentication within ISE) 复选框时适用）如果您想将此证书用于以下用途，请选中此复选框：

• 对使用 EAP 协议连接至 ISE 的终端进行身份验证

• 信任系统日志服务器

信任思科服务的身份验证 (Trust for authentication of Cisco Services)

如果您希望将此证书用于信任源服务等外部Cisco服务，请选中此复选框。

验证证书扩展名 (Validate Certificate Extensions)

（仅适用于同时选中“信任客户端身份验证和系统日志”(Trust for client authentication and Syslog) 选项和“证书扩展上启用验证”(Enable Validation of Certificate Extensions) 选项的情况下）确保有“keyUsage”扩展并且设置了“keyCertSign”位，而且有将 CA 标志设置为 true 的基本限制扩展。

说明

输入可选的说明。

名称 (Name)

OCSP 客户端配置文件的名称。

说明

输入可选的说明。

配置 OCSP 响应器 (Configure OCSP Responder)

启用辅助服务器 (Enable Secondary Server)

选中此复选框来以启用高可用性辅助 OCSP 服务器。

始终先访问主服务器 (Always Access Primary Server First)

使用此选项以在尝试移至辅助服务器之前先检查主要服务器。即使之前已检查主要服务器并且发现主服务器无响应，Cisco ISE 在移至辅助服务器之前仍会尝试向主要服务器发送请求。

在 n 分钟后回退至主服务器 (Fallback to Primary Server After Interval n Minutes)

当您希望Cisco ISE 移至辅助服务器，然后再回退到主服务器时，请使用此选项。在这种情况下，系统将跳过所有其他请求，并按照该文本框中配置的时间使用辅助服务器。允许的时间范围是 1 至 999 分钟。

主服务器和辅助服务器 (Primary and Secondary Servers)

URL

输入主要和/或辅助 OCSP 服务器的 URL。

启用 Nonce 扩展支持 (Enable Nonce Extension Support)

您可以配置一个作为 OCSP 请求的一部分发送的 Nonce。Nonce 会在 OCSP 请求中包含一个伪随机数。系统会验证在响应中接收的数值是否与请求中包含的此数相同。此选项可确保重放攻击无法利用旧通信数据。

验证响应签名 (Validate Response Signature)

OCSP 响应器用以下一个证书为响应签名：

• CA 证书

• 与 CA 证书不同的证书

  为了使Cisco ISE 验证响应签名，OCSP 响应器需要连同该证书一起发送响应，否则响应验证会失败，而且证书状态不可靠。根据 RFC，OCSP 可以使用不同的证书给响应签名。只要 OCSP 发送给响应签名的证书以供Cisco ISE 进行验证，就会如此。如果 OCSP 使用Cisco ISE 中未配置的其他证书给响应签名，响应验证将失败。

使用授权信息访问 (AIA) 中指定的 OCSP URL。(Use OCSP URLs specified in Authority Information Access [AIA])

点击单选按钮以使用授权信息访问扩展名中指定的 OCSP URL。

响应缓存 (Response Cache)

缓存条目生存时间 n 分钟 (Cache Entry Time To Live n Minutes)

• 减少网络流量和降低 OCSP 服务器对已知证书带来的负载

• 通过缓存已知证书状态提高Cisco ISE 性能

默认情况下，内部 CA 的 OCSP 客户端配置文件的缓存设置为 2 分钟。如果终端在第一次身份验证后 2 分钟内进行第二次验证，将使用 OCSP 缓存，而不查询 OCSP 响应器。如果终端证书在缓存期间内撤销，将使用之前 OCSP 的状态良好 (Good)，身份验证成功。将缓存设置为 0 分钟可阻止所有响应被缓存。此选项可提高安全性，但会降低身份验证性能。

清空缓存 (Clear Cache)

点击清空缓存 (Clear Cache) 以清除连接至 OCSP 服务的所有证书颁发机构的条目。

在部署中，清空缓存 (Clear Cache) 与所有节点交互并执行此操作。此机制可更新部署中的每个节点。

禁用证书权限 (Disable Certificate Authority)

点击此按钮以禁用内部 CA 服务。

主机名 (Host Name)

运行 CA 服务的Cisco ISE 节点的主机名。

相关角色 (Personas)

在运行 CA 服务的节点上启用的Cisco ISE 节点角色。例如管理角色、策略服务角色等。

角色 [Role(s)]

运行 CA 服务的Cisco ISE 节点承担的职责。例如，独立、主要或辅助职责。

CA、EST 和 OCSP 响应方状态 (CA, EST & OCSP Responder Status)

启用或禁用

OCSP 响应者 URL (OCSP Responder URL)

Cisco ISE 节点用于访问 OCSP 服务器的 URL。

SCEP URL

Cisco ISE 节点用来访问 OCSP 服务器的 URL。

名称

（必填）输入证书模板的名称。例如，Internal_CA_Template。

说明

（可选）输入说明。

Common Name (CN)

（仅显示）公用名自动填充为用户名。

Organizational Unit (OU)

组织单位名称。例如，Engineering。

Organization (O)

组织名称。例如，Cisco。

City (L)

（请勿缩写）城市名称。例如，圣何塞。

State (ST)

（请勿缩写）省/自治区/直辖市名称。例如，加州。

Country (C)

国家/地区名称。必须输入两个字母 ISO 国家/地区代码。例如，US。

Subject Alternative Name (SAN)

（仅显示）终端的 MAC 地址。

密钥类型 (Key Type)

RSA 或 ECC

Key Size

（只有当您选择 RSA 时适用）指定密钥大小为 1024 或更大数字。

曲线类型

（只有当您选择 ECC 时适用）指定曲线类型（默认值为 P-384）。

SCEP RA Profile

选择 ISE Internal CA 或您已创建的外部 SCEP RA 配置文件。

Valid Period

输入证书的到期天数。

扩展密钥使用

客户端身份验证

如果您要使用此证书用于客户端身份验证，请选中此复选框。

服务器身份验证

如果您要使用此证书用于服务器身份验证，请选中此复选框。

名称 (Name)

输入新目标的名称。

目标类型 (Target Type)

选择目标类型。默认情况下设置为 UDP Syslog。

说明

输入新目标的简短说明。

IP 地址 (IP Address)

输入要存储日志的目标计算机的 IP 地址或主机名。 思科 ISE 支持 IPv4 和 IPv6 格式的日志记录。

端口 (Port)

输入目标计算机的端口号。

设备代码 (Facility Code)

选择要用于日志记录的系统日志设备代码。有效选项为 Local0 至 Local7。

最大长度 (Maximum Length)

输入远程日志目标消息的最大长度。有效选项为 200 至 1024 字节。

服务器关闭时缓冲消息 (Buffer Message When Server is Down)

如果希望Cisco ISE 在 TCP 系统日志目标和安全系统日志目标不可用时缓冲系统日志消息，请选中此复选框。Cisco ISE 会在连接恢复时重新尝试将消息发送到目标。连接恢复后，消息按从最旧到最新的顺序进行发送，并且缓冲消息始终在新消息之前发送。如果缓冲区已满，则会丢弃旧消息。

缓冲区大小 (MB) (Buffer Size [MB])

设置每个目标的缓冲区大小。默认情况下设置为 100 MB。更改缓冲区大小会清除缓冲区，并且特定目标的所有现有缓冲消息都会丢失。

重新连接超时（秒）(Reconnect Timeout [Sec])

输入时间（以秒为单位），提及在服务器关闭的情况下，TCP 和安全系统日志在被丢弃之前将会保留多长时间。

选择 CA 证书 (Select CA Certificate)

选择客户端证书。

忽略服务器证书验证 (Ignore Server Certificate Validation)

如果希望 ISE 忽略服务器证书身份验证并接受任何系统日志服务器，请选中此复选框。

名称 (Name)

显示日志记录类别的名称。

日志严重性级别 (Log Severity Level)

允许您从以下选项中选择诊断日志记录类别的严重性级别：

• 严重 (FATAL)：紧急情况。此选项意味着无法使用Cisco ISE，并且必须立即采取操作。

• 错误 (ERROR)：此选项表示严重或错误情况。

• 警告 (WARN)：此选项表示正常但值得注意的情况。这是默认情况。

• 信息 (INFO)：此选项表示信息性消息。

• 调试 (DEBUG)：此选项表示诊断错误消息。

本地日志记录 (Local Logging)

选中此复选框可为本地节点上的类别启用日志记录事件。

目标 (Targets)

允许使用左侧和右侧图标在可用 (Available) 和所选 (Selected) 框之间转移目标来更改类别的目标。可用 (Available) 框包含本地（预定义）和外部（用户定义）的现有日志记录目标。初始为空的所选 (Selected) 框包含特定类别的选定目标。

存储库 (Repository)

输入存储库的名称。允许使用字母数字字符，最大长度为 80 个字符。

协议 (Protocol)

从可用协议中选择一个您想要使用的协议。

服务器名称 (Server Name)

（对于 TFTP、HTTP、HTTPS、FTP、SFTP 和 NFS 为必填字段）输入您想要在其上创存储库的服务器的主机名或 IP 地址（IPv4 或 IPv6）。

路径 (Path)

输入存储库的路径。此路径必须有效而且在您创建数据库时必须存在。

此值可以用双前斜杠 (//) 或单前斜杠 (/) 开头，表示服务器的根目录。但是，对于 FTP 协议，单前斜杠 (/) 表示 FTP 的本地设备主目录，而不是根目录。

启用 PKI 身份验证 (Enable PKI authentication)

（可选；仅适用于 SFTP 存储库）如果要在 SFTP 存储库中启用 RSA 公钥身份验证，请选中此复选框。

用户名 (User Name)

（对于 FTP、SFTP 为必填字段）输入对指定服务器拥有写入权限的用户名。只允许使用字母数字字符。

密码 (Password)

（对于 FTP、SFTP 为必填字段）输入用于访问指定服务器的密码。密码可以包含以下字符：0-9、a-z、A-Z、-、.、|、@、#、$、%、^、&、*、(、)、+、和 =。

类型

选择以下其中一个选项：

• 配置数据备份 (Configuration Data Backup)：包含应用特定配置数据和Cisco ADE 操作系统配置数据

• 运行数据备份 (Operational Data Backup)：包含监控和故障排除数据

备份名称 (Backup Name)

输入备份文件的名称。

存储库名称 (Repository Name)

应该保存您的备份文件的存储库。您无法在此处输入存储库。只能从下拉列表选择一个可用存储库。确保在运行备份之前创建了存储库。

加密密钥 (Encryption Key)

此密钥用于加密和解密备份文件。

类型 (Type)

选择以下其中一个选项：

• 配置数据备份 (Configuration Data Backup)：包含应用特定配置数据和Cisco ADE 操作系统配置数据

• 运行数据备份 (Operational Data Backup)：包含监控和故障排除数据

名称 (Name)

输入备份文件的名称。您可以输入您所选的描述性名称。Cisco ISE 会将时间戳附加到备份文件名之后并将其存储在存储库中。即使您配置了一系列备份，也要有唯一的备份文件名。在“定期备份”(Scheduled Backup) 列表窗口上，备份文件名前面将附加“backup_occur”，表示文件是一次 kron 作业。

说明

输入对备份的说明。

存储库名称 (Repository Name)

选择保存您的备份文件的存储库。您无法在此处输入存储库。只能从下拉列表选择一个可用存储库。确保在运行备份之前创建了存储库。

加密密钥 (Encryption Key)

输入用于加密和解密备份文件的密钥。

计划选项

选择计划备份的频率并相应地填写其他选项。

加密 (Encryption)

加密密钥 (Encryption Key)

输入用于加密和解密导出数据的密钥。仅当您选择使用加密密钥导出 (Export with Encryption Key) 选项时，才会启用此字段。

目标 (Destination)

下载文件到本地计算机 (Download file to local computer)

可以让您将策略导出文件下载到本地系统。

通过邮件将文件发送到 (Email file to)

您可输入多个邮件地址，用逗号分隔。

存储库 (Repository)

选择要将策略数据导出到的存储库。无法在此处输入存储库名称。只能从下拉列表选择一个可用存储库。确保在计划策略导出之前创建存储库。

立即导出 (Export Now)

点击此选项可将数据导出到本地计算机或作为电子邮件附件发送。您无法导出到存储库；只能计划存储库导出。

计划选项

选择导出计划的频率，并相应地输入其他详细信息。

最小长度 (Minimum Length)

指定密码的最小长度（以字符数为单位）。默认值为 6 个字符。

密码不得包含 (Password must not contain)

管理员名称或其反向顺序的字符 (Admin name or its characters in reverse order)：选中此复选框可限制使用管理员用户名或其反向顺序的字符。

“cisco”或其反向顺序的字符 ("cisco" or its characters in reverse order)：选中此复选框可限制使用单词“cisco”或其反向顺序的字符。

此单词或其反向顺序的字符 (This word or its characters in reverse order)：选中此复选框可限制使用您定义的任何单词或其反向顺序的字符。

连续重复四次或以上的字符 (Repeated characters four or more times consecutively)：选中此复选框可限制使用连续重复四次或以上的字符。

字典单词、其反向顺序的字符或其替换为其他字符的字母 (Dictionary words, their characters in reverse order or their letters replaced with other characters)：选中此复选框可限制使用字典单词、其反向顺序的字符或其替换为其他字符的字母。

不允许使用“$”替代“s”、“@”替代“a”、“0”替代“o”、“1”替代“l”、“!”替代“i”、“3”替代“e”。例如 Pa$$w0rd

• 默认字典 (Default Dictionary)：选择此选项可在Cisco ISE 中使用默认 Linux 字典。此默认字典包含约 480,000 个英文单词。

  默认情况下，此选项已选中。

• 自定义字典 (Custom Dictionary)：选择此选项可使用您自定义的字典。点击浏览选择自定义字典文件。此文本文件必须包含新行分隔单词，为 .dic 扩展，且大小低于 20 MB。

密码必须包含每个所选类型的至少一个字符 (Password must contain at least one character of each of the selected types)

指定管理员密码必须包含从以下选项中选择的类型的至少一个字符：

• 小写字母字符

• 大写字母字符

• 数字字符

• 非字母数字字符

密码历史记录 (Password History)

指定必须与新密码不同的先前密码的数量，以防止重复使用同一密码。

此外，指定必须与先前密码不同的字符的数量。

输入在其之前不能重复使用密码的天数。

密码有效期 (Password Lifetime)

指定以下选项来强制用户在经过指定时间段后更改密码：

• “如果此时间（按天计）过后未更改密码，则禁用管理员帐户。”(Time (in days) before the administrator account is disabled if the password is not changed.) （允许的范围是 0 至 2147483647 天。）

• “禁用管理员帐户之前的提醒时间（按天计）。”(Reminder (in days) before the administrator account is disabled.)

显示网络设备敏感数据 (Display Network Device Sensitive Data)

要求管理员密码 (Require Admin Password)

如果您希望管理员用户输入登录密码来查看网络设备敏感数据，例如共享密钥和密码，请选中此复选框。

密码缓存用于 (Password cached for)

在此段时间内，会对管理员用户输入的密码进行缓存。在此期间，如果管理员用户要查看网络设备敏感数据，系统不会再次提示输入密码。有效范围为 1 至 60 分钟。

会话超时 (Session Timeout)

会话空闲超时 (Session Idle Timeout)

输入Cisco ISE 在没有活动的情况下注销管理员之前需要等待的时间（以分钟为单位）。默认值为 60 分钟。有效范围为 6 至 100 分钟。

会话信息 (Session Info)

失效 (Invalidate)

选中要终止的会话 ID 旁边的复选框，然后点击失效 (Invalidate)。

配置名称

输入 PRA 配置的名称。

配置说明

输入 PRA 配置的说明。

Use Reassessment Enforcement?

选中此复选框，将 PRA 配置应用到用户身份组。

Enforcement Type

选择要执行的操作：

• 继续 (Continue)：用户继续拥有特权访问权限，无需任何用户干预即可补救客户端，无论终端安全评估要求如何都是如此。

• 注销 (Logoff)：如果客户端不合规，用户将被迫从网络注销。当客户端再次登录时，合规性状态未知。

• 补救 (Remediate)：如果客户端不合规，代理将在指定时间内等待补救发生。客户端一旦补救，代理将向策略服务节点发送 PRA 报告。如果在客户端忽略补救，代理程序将向策略服务节点发送注销请求，迫使客户端从网络注销。

  如果终端安全评估要求设置为强制，那么 RADIUS 会话将因为 PRA 故障操作而被清除，并且必须开始新的 RADIUS 会话，才能再次布置客户端。

  如果终端安全评估要求设置为可选，那么代理允许用户从代理点击“继续”(Continue) 选项。用户可以继续停留在当前的网络中，不受任何限制。

Interval

输入第一次成功登录后在客户端上启动 PRA 的时间间隔分钟数。

默认值为 240 分钟。最小值为 60 分钟，最大值为 1440 分钟。

Grace time

输入允许客户端完成补救的时间间隔分钟数。宽限时间不能为零，并且应当大于 PRA 间隔。它可以介于默认最小间隔（5 分钟）和最小 PRA 间隔之间。

最小值为 5 分钟，最大值为 60 分钟。

选择用户身份组

为 PRA 配置选择唯一组或唯一组组合。

PRA configurations

显示现有的 PRA 配置以及关联到 PRA 配置的用户身份组。

配置名称

输入要创建的 AUP 配置的名称。

配置说明

输入要创建的 AUP 配置的说明。

“向代理用户显示 AUP”(Show AUP to Agent users)（仅适用于 Windows）

选中后，系统会在身份验证和终端安全评估成功后，向用户显示您的网络的网络使用条款和条件的链接。

为 AUP 消息使用 URL (Use URL for AUP message)

选中后，必须在“AUP URL”字段中输入 AUP 消息的 URL。

为 AUP 消息使用文件 (Use file for AUP message)

选中后，必须浏览至文件位置并以压缩格式上传文件。此文件必须在顶层包含 index.html。

除 index.html 文件以外，该 .zip 文件还可包含其他文件和子目录。这些文件可以使用 HTML 标签相互引用。

AUP URL

输入 AUP 的 URL，用户必须在身份验证和安全评估成功后访问该 URL。

AUP File

浏览至文件并将其上传到Cisco ISE 服务器。它应是压缩文件，并且应在顶层包含 index.html 文件。

选择用户身份组 (Select User Identity Groups)

针对 AUP 配置选择唯一用户身份组或用户身份组的唯一组合。

创建 AUP 配置时，请注意以下事项：

• 安全评估 AUP 不适用于访客流程

• 两个配置不会共同具有任何用户身份组

• 如果您要使用用户身份组“Any”创建 AUP 配置，则要先删除所有其他 AUP 配置

• 如果使用用户身份组“Any”创建 AUP 配置，则无法使用唯一用户身份组或用户身份组的唯一组合创建其他 AUP 配置。要使用除 Any 以外的用户身份组创建 AUP 配置，请先删除具有用户身份组“Any”的现有 AUP 配置，或者使用唯一用户身份组或用户身份组的唯一组合更新具有用户身份组“Any”的现有 AUP 配置。

可接受使用策略配置 - 配置清单 (Acceptable use policy configurations—Configurations list)

列出现有 AUP 配置以及与 AUP 配置关联的最终用户身份组。

Authority Identity Info Description

输入用于说明向客户端发送凭证的Cisco ISE 节点的用户友好字符串。客户端可以在类型、长度和值 (TLV) 的受保护访问凭证 (PAC) 信息中发现此字符串。默认值为 Identity Services Engine。

Master Key Generation Period

指定主键生成期（以秒、分钟、小时、天或周为单位）。值必须是范围在 1 至 2147040000 秒内的正整数。默认值为 604800 秒，相当于一周。

Revoke all master keys and PACs

点击“撤销”(Revoke) 可撤销所有主键和 PAC。

Enable PAC-less Session Resume

如果您要在没有 PAC 文件的情况下使用 EAP-FAST，请选中此复选框。

PAC-less Session Timeout

指定无 PAC 会话恢复超时的时间（以秒为单位）。默认值为 7200 秒。

Tunnel PAC

点击此单选按钮生成隧道 PAC。

Machine PAC

点击此单选按钮生成设备 PAC。

Trustsec PAC

点击此单选按钮生成 Trustsec PAC。

Identity

（针对 Tunnel 和 Machine PAC 身份字段）指定 EAP-FAST 协议显示为“内部用户名”的用户名或设备名称。如果身份字符串与该用户名不匹配，则身份验证失败。

这是主机定义在自适应安全设备 (ASA) 上定义的主机名。身份字符串必须与 ASA 主机名匹配，否则 ASA 无法导入生成的 PAC 文件。

如果生成的是 Trustsec PAC，则 Identity 字段指定 Trustsec 网络设备的设备 ID 并且由 EAP-FAST 协议提供发起方 ID。如果在此处输入的 Identity 字符串与该设备 ID 不匹配，则身份验证失败。

PAC Time to Live

（对于隧道和设备 PAC）请以秒为单位输入 PAC 的到期时间。默认值为 604800 秒，相当于一周。该值必须是介于 1 和 157680000 秒之间的正整数。对于 Trustsec PAC，请以天、周、月或年为单位输入一个值。默认情况下，该值为一年。最小值为一天，最大值为 10 年。

Encryption Key

输入加密密钥。密钥的长度必须介于 8 和 256 个字符之间。密钥可以包含大写或小写字母或数字，或字母数字字符的组合。

Expiration Data

（仅对于 Trustsec PAC）到期日期根据 PAC Time to Live 计算。

Enable EAP-TTLS Session Resume

如果您选中此复选框，Cisco ISE 将缓存在 EAP-TTLS 身份验证第一阶段创建的 TLS 会话，前提是用户在 EAP-TTLS 第二阶段成功通过身份验证。如果用户需要重新连接而且原来的 EAP-TTLS 会话尚未超时，Cisco ISE 使用缓存的 TLS 会话，从而加快 EAP-TTLS 性能、降低 AAA 服务器负载。

EAP-TTLS Session Timeout

指定 EAP-TTLS 会话在多少秒的时间后超时。默认值为 7200 秒。

Enable EAP-TLS Session Resume

EAP-TLS Session Timeout

指定 EAP-TLS 会话在多少秒的时间后超时。默认值为 7200 秒。

无状态会话恢复

Master Key Generation Period

输入主键重新生成前经过的时间。此值确定主键保持活动的持续时间。您可以输入以秒、分钟、小时、天或周为单位的值。

Revoke

点击撤销 (Revoke) 以取消以前生成的所有主键和票证。此选项在辅助节点上禁用。

Enable PEAP Session Resume

选中此复选框，使Cisco ISE 缓存在 PEAP 身份验证的第一阶段创建的 TLS 会话，前提是用户在 PEAP 的第二阶段成功通过身份验证。如果用户需要重新连接，原始 PEAP 会话尚未超时，Cisco ISE 使用缓存的 TLS 会话，从而加快 PEAP 性能、降低的 AAA 服务器的负载。您必须指定 PEAP 会话恢复功能的 PEAP 会话超时值可以工作。

PEAP Session Timeout

指定 PEAP 会话超时的时间（单位：秒）。默认值为 7200 秒。

Enable Fast Reconnect

选中此复选框，允许在Cisco ISE 中恢复 PEAP 会话，而无需在启用会话恢复功能时检查用户凭证。

抑制重复失败的客户端 (Suppress Repeated Failed Clients)

抑制重复失败的客户端 (Suppress Repeated Failed Clients)

选中此复选框可抑制因相同原因导致身份验证重复失败的客户端。系统会从审核日志中抑制这些客户端，如果已启用拒绝重复失败客户端的 RADIUS 请求 (Reject RADIUS Requests from Clients with Repeated Failures) 选项，还会在指定时间段内拒绝来自这些客户端的请求。

检测两次失败的时间范围 (Detect Two Failures Within)

输入以分钟为单位的时间间隔。如果客户端在该时间段内因相同原因导致两次身份验证失败，则系统会从审核日志中将其抑制，并且，如果已启用拒绝重复失败客户端的 RADIUS 请求 (Reject RADIUS Requests from Clients with Repeated Failures) 选项，还会拒绝来自此客户端的请求。

每几分钟报告一次故障 (Report Failures Once Every)

以分钟为单位输入报告失败身份验证的时间间隔。例如，如果此值设置为 15 分钟，则每 15 分钟在审核日志中仅报告一次重复身份验证失败的客户端，从而防止过度报告。

拒绝重复失败客户端的 RADIUS 请求 (Reject RADIUS Requests from Clients with Repeated Failures)

选中此复选框可自动拒绝来自身份验证重复失败的客户端的 RADIUS 请求。您可以启用此选项，以避免Cisco ISE 进行不必要的处理，并防范潜在的拒绝服务攻击。

自动拒绝前的失败次数 (Failures Prior to Automatic Rejection)

持续拒绝请求的时长 (Continue Rejecting Requests for)

输入一个时间间隔（分钟），在此间隔内会拒绝来自重复失败客户端的请求。

忽略重复记账更新的时间范围 (Ignore Repeated Accounting Updates Within)

在此期间内发生的重复记账更新将被忽略。

Suppress Repeated Successful Authentications

选中此复选框以防重复报告前 24 小时内在身份情景、网络设备和授权方面没有变更的成功身份验证。

身份验证详细信息 (Authentications Details)

突出显示长于该值的步骤 (Highlight Steps Longer Than)

以毫秒为单位输入时间间隔。如果单个步骤的执行超出指定阈值，则在身份验证详细信息页面中使用时钟图标来标记此步骤。

检测 RADIUS 请求的高速率 (Detect High Rate of RADIUS Requests)

检测 RADIUS 请求的稳定高速率 (Detect Steady High Rate of Radius Requests)

选中此复选框可在超过 RADIUS 请求持续时间 (Duration of RADIUS requests) 字段和 RADIUS 请求总数 (Total number of RADIUS requests) 字段中指定的限制时，发出高 RADIUS 请求负载警报。

RADIUS 请求持续时间 (Duration of RADIUS Requests)

输入将用于计算 RADIUS 速率的时间段（以秒为单位）。默认值为 60 秒。有效范围为 20 至 86400 秒。

RADIUS 请求总数 (Total Number of RADIUS Requests)

输入将用于计算 RADIUS 速率的请求限制。默认为 72000 个请求。有效范围为 24000 到 103680000 个请求。

RADIUS UDP 端口 (RADIUS UDP Ports)

身份验证端口 (Authentication Ports)

指定将用于 RADIUS UDP 身份验证流程的端口。您可以指定最多 4 个端口号（用逗号分隔）。默认情况下，使用端口 1812 和端口 1645。有效范围为 1024 到 65535。

记帐端口 (Accounting Ports)

指定将用于 RADIUS UDP 记帐流程的端口。您可以指定最多 4 个端口号（用逗号分隔）。默认情况下，使用端口 1813 和端口 1646。有效范围为 1024 到 65535。

RADIUS DTLS

身份验证和记账端口 (Authentication and Accounting Port)

指定将用于 RADIUS DTLS 身份验证和记帐流程的端口。默认情况下，使用端口 2083。有效范围为 1024 到 65535。

空闲超时 （Idle Timeout）

如果没有从网络设备收到数据包，请输入希望Cisco ISE 在关闭 TLS 会话之前等待的时间（以秒为单位）。默认值为 120 秒。有效范围为 60 至 600 秒。

启用 RADIUS/DTLS 客户端身份验证 (Enable RADIUS/DTLS Client Identity Verification)

如果希望Cisco ISE 在 DTLS 握手期间验证 RADIUS/DTLS 客户端的身份，请选中此复选框。如果客户端身份无效，则Cisco ISE 握手失败。默认网络设备会跳过身份检查（如果已配置）。身份检查按以下顺序执行：

1. 如果客户端证书包含使用者备用名称 (SAN) 属性：

   • 如果 SAN 包含 DNS 名称，则证书中指定的 DNS 名称会与为Cisco ISE 中的网络设备配置的 DNS 名称进行比较。

   • 如果 SAN 包含 IP 地址（且不包含 DNS 名称），则证书中指定的 IP 地址会与Cisco ISE 中配置的所有设备 IP 地址进行比较。

2. 如果证书不包含 SAN，则使用者 CN 会与为Cisco ISE 中的网络设备配置的 DNS 名称进行比较。如果不匹配，则Cisco ISE 握手失败。

允许多个 SGACL (Allow Multiple SGACLs)

如果要在一个单元格中允许多个 SGACL 请选中此复选框。如果未选择此选项，Cisco ISE 只允许每个单元格一个 SGACL。

默认情况下，此选项在全新安装时禁用。

升级后，Cisco ISE 将扫描出口单元格，因此，如果识别到至少一个被分配多个 SGACL 的单元格，将允许管理员在单元格中添加多个 SGACL。否则，它仅允许每个单元格一个 SGACL。

允许监控 (Allow Monitoring)

选中此复选框可启用对表格中所有单元格的监控。如果禁用监控，“监控全部”(Monitor All) 图标会灰显，“编辑单元格”(Edit Cell) 对话中的“监控”(Monitor) 选项被禁用。

默认情况下，监控在全新安装禁用。

显示 SGT 数量 (Show SGT Numbers)

使用此选项可显示或隐藏表格单元格中 SGT 值（十进制和十六进制）。

默认情况下，SGT 值在单元格中显示。

外观设置 (Appearance Settings)

可提供以下选项：

• 自定义设置 (Custom settings)：最初显示默认主题（有颜色无图案）。您可以自主设置颜色和图案。

• 默认设置 (Default settings)：预定义的有颜色无图案列表（不可编辑）。

• 辅助功能设置 (Accessibility settings)：预定义的有颜色有图案列表（不可编辑）。

颜色/图案 (Color/Pattern)

要使表格更易读，可根据单元格颜色将颜色和图案应用于表格单元格。

提供以下显示类型：

• 允许 IP/允许 IP 日志 (Permit IP/Permit IP Log)：单元格内已配置

• 拒绝 IP/拒绝 IP 日志 (Deny IP/Deny IP Log)：单元格内已配置

• SGACL：用于单元格内已配置的 SGACL

• 允许 IP/允许 IP日志（沿用）(Permit IP/Permit IP Log (Inherited))：从（非已配置单元格）默认策略中获取

• 拒绝 IP/拒绝 IP 日志（沿用）(Deny IP/Deny IP Log (Inherited))：从（非已配置单元格）默认策略中获取

• SGACL（沿用）(SGACLs (Inherited))：从（非已配置单元格）默认策略中获取

范围名称 (Scope Name)

输入一个便于您记住该范围的用途的名称。

状态

选择启用 (Enabled) 或禁用 (Disabled)。范围在启用后仅可用于一个 ISE 节点。

ISE 节点 (ISE Node)

应用一个 ISE 节点，将其用作 DHCP/DNS 服务器。在下拉列表中，选择使用该范围的 ISE 节点。身份验证 VLAN 是针对每个 ISE 节点或网络接口定义的 ，任何两个接口或两个节点均不可共享同一个 VLAN。

Network Interface

根据您所选的 ISE 节点，用于该 ISE 节点的网络接口会动态出现在下拉列表中。选择用于 DHCP/DNS 服务器侦听的接口。可通过在 NAD 上配置一个 VLAN IP 助手将多个 VLAN 连接到一个网络接口卡。

域名

输入用于该范围的 DHCP 服务器的域名。

DHCP 地址范围 (DHCP Address range)

根据您的网络定义，选择可用于该范围的 DHCP 地址范围。

子网掩码

网络 ID

网络 ID 由Cisco ISE 基于您输入的 DHCP 属性自动确定。

排除地址范围 (Exclusion address range)

根据您的网络定义，选择不应用于该范围的 DHCP 地址范围。

Default gateway

输入默认网关的 IP 地址。

DHCP 租用时间 (DHCP lease time)

定义 DHCP 租用时间。

DHCP 选项

（可选）DHCP 选项是 DCHP 服务器发送到 DHCP 客户端的附加配置参数。DHCP 选项为需要选项值中指示的信息才能访问网络的设备（例如摄像头、接入点或电话）提供支持，或作为在最终授权之前引导设备的方法。当 DHCP 服务器收到客户端的 DHCP 请求消息时，服务器（通常）通过向客户端发送 DHCP ACK 数据包做出响应。此时，服务器会转发 DHCP ACK 数据包中的所有已配置选项。

有关详细信息，请参阅此表下方的“DHCP 选项”部分。

外部 DNS 服务器 (External DNS servers)

如果您想要允许用户在收到访问整个公司网络的身份验证之前能够访问身份验证 VLAN 之外的外部域名，请输入 DNS 服务器的 IP 地址以解析外部 DNS 名称。

外部域名 (External Domains)

如果您希望用户在收到访问整个公司网络的身份验证之前能够访问特定网站，请在这些字段中输入域名。

输入除父域外，用户可能需要访问的所有子域的名称。